CSRF

この概念の要点

• 注意

  CSRFはCookieの窃取そのものではない

  この教材では代表例として、セッションCookieを利用するWebサイトを扱います。攻撃者はCookieの値を知ったり、対象サイトのレスポンスを読んだりする必要はありません。Cookieの送信条件を満たすとブラウザが認証情報を自動的に付加する点が利用されますが、CSRFはCookieを使う場合だけに限定されません。

• 要点

  認証だけではCSRFを防げない

  セッションCookieで確認するログイン状態だけでは、CSRFを防げません。この教材の対策側では、セッションに対応するCSRFトークンを検証します。トークンの検証は、本人の意思そのものを証明するものではありません。

• 要点

  Cookieの送信条件も成立可否に関わる

  Cookieがクロスサイトのリクエストへ付加されるかは、SameSite属性だけでなくリクエスト方法や遷移方法などにも左右されます。すべてのクロスサイトリクエストでCookieが送られるわけではありません。